防火墙不允许从外部访问内网端口，如何设置

配置安全策略，只放通trust--》untrust ，反向不要放通

1.11.1  安全策略基于IP地址的典型配置举例

1. 组网需求

·            某公司内的各部门之间通过Device实现互连，该公司的工作时间为每周工作日的8点到18点。

·            通过配置安全策略规则，允许总裁办在任意时间、财务部在工作时间通过HTTP协议访问财务数据库服务器的Web服务，禁止其它部门在任何时间、财务部在非工作时间通过HTTP协议访问该服务器的Web服务。

2. 组网图

图1-3 安全策略基于IP地址的典型配置组网图

3. 配置步骤

(1)       配置时间段

# 创建名为work的时间段，其时间范围为每周工作日的8点到18点。

<Device> system-view

[Device] time-range work 08:00 to 18:00 working-day

(2)       配置安全域

# 创建名为database的安全域，并将接口GigabitEthernet1/0/1加入该安全域中。

[Device] security-zone name database

[Device-security-zone-database] import interface gigabitethernet 1/0/1

[Device-security-zone-database] quit

# 创建名为president的安全域，并将接口GigabitEthernet1/0/2加入该安全域中。

[Device] security-zone name president

[Device-security-zone-president] import interface gigabitethernet 1/0/2

[Device-security-zone-president] quit

# 创建名为finance的安全域，并将接口GigabitEthernet1/0/3加入该安全域中。

[Device] security-zone name finance

[Device-security-zone-finance] import interface gigabitethernet 1/0/3

[Device-security-zone-finance] quit

# 创建名为market的安全域，并将接口GigabitEthernet1/0/4加入该安全域中。

[Device] security-zone name market

[Device-security-zone-market] import interface gigabitethernet 1/0/4

[Device-security-zone-market] quit

(3)       配置对象

# 创建名为database的IP地址对象组，并定义其子网地址为192.168.0.0/24。

[Device] object-group ip address database

[Device-obj-grp-ip-database] network subnet 192.168.0.0 24

[Device-obj-grp-ip-database] quit

# 创建名为president的IP地址对象组，并定义其子网地址为192.168.1.0/24。

[Device] object-group ip address president

[Device-obj-grp-ip-president] network subnet 192.168.1.0 24

[Device-obj-grp-ip-president] quit

# 创建名为finance的IP地址对象组，并定义其子网地址为192.168.2.0/24。

[Device] object-group ip address finance

[Device-obj-grp-ip-finance] network subnet 192.168.2.0 24

[Device-obj-grp-ip-finance] quit

# 创建名为market的IP地址对象组，并定义其子网地址为192.168.3.0/24。

[Device] object-group ip address market

[Device-obj-grp-ip-market] network subnet 192.168.3.0 24

[Device-obj-grp-ip-market] quit

# 创建名为web的服务对象组，并定义其支持的服务为HTTP。

[Device] object-group service web

[Device-obj-grp-service-web] service 6 destination eq 80

[Device-obj-grp-service-web] quit

(4)       配置安全策略及规则

# 进入IPv4安全策略视图。

[Device] security-policy ip

[Device-security-policy-ip]

# 制订允许总裁办在任意时间通过HTTP协议访问财务数据库服务器的安全策略规则，其规则名称为president-database。

[Device-security-policy-ip] rule 0 name president-database

[Device-security-policy-ip-0-president-database] source-zone president

[Device-security-policy-ip-0-president-database] destination-zone database

[Device-security-policy-ip-0-president-database] source-ip president

[Device-security-policy-ip-0-president-database] destination-ip database

[Device-security-policy-ip-0-president-database] service web

[Device-security-policy-ip-0-president-database] action pass

[Device-security-policy-ip-0-president-database] quit

# 制订只允许财务部在工作时间通过HTTP协议访问财务数据库服务器的安全策略规则，其规则名称为finance-database。

[Device-security-policy-ip] rule 1 name finance-database

[Device-security-policy-ip-1-finance-database] source-zone finance

[Device-security-policy-ip-1-finance-database] destination-zone database

[Device-security-policy-ip-1-finance-database] source-ip finance

[Device-security-policy-ip-1-finance-database] destination-ip database

[Device-security-policy-ip-1-finance-database] service web

[Device-security-policy-ip-1-finance-database] action pass

[Device-security-policy-ip-1-finance-database] time-range work

[Device-security-policy-ip-1-finance-database] quit

# 制订禁止市场部在任何时间通过HTTP协议访问财务数据库服务器的安全策略规则，其规则名称为market-database。

[Device-security-policy-ip] rule 2 name market-database

[Device-security-policy-ip-2-market-database] source-zone market

[Device-security-policy-ip-2-market-database] destination-zone database

[Device-security-policy-ip-2-market-database] source-ip market

[Device-security-policy-ip-2-market-database] destination-ip database

[Device-security-policy-ip-2-market-database] service web

[Device-security-policy-ip-2-market-database] action drop

[Device-security-policy-ip-2-market-database] quit

# 激活安全策略规则的加速功能。

[Device-security-policy-ip] accelerate enhanced enable

[Device-security-policy-ip] quit

4. 验证配置

配置完成后，总裁办可以在任意时间访问财务数据库服务器的Web服务，财务部仅可以在工作时间访问财务数据库服务器的Web服务，其他部门任何时间均不可以访问财务数据库服务器的Web服务。

不配置从外部到内部的策略，默认拒绝

内网口配置trust域，外网口配置UNtrust域

然后配置trust到UNtrust的的安全策略

源安全域trust 目的安全域UNtrust 源IP内网IP 目的IP不配置，默认所有

配置UNtrust到trust的安全策略

 动作进制

禁用掉TCP目的端口80与443

你没做映射的话，外网也访问不了内部资源啊

没做啥映射，就是上面规定，不能访问这个公司的80和443，原因是害怕他们公司搭建网站，映射到外部，然后有人从外部访问这个网站，其实就是扯淡，运来说让电信运营商禁用这两个端口，但是电信运营商不同意，所以只好弄一台防火墙自己搞了。